基于IXP2400的NAT防護系統(tǒng)數(shù)據(jù)平面的研究與設(shè)計.pdf

1、隨著計算機網(wǎng)絡(luò)的發(fā)展，網(wǎng)絡(luò)地址枯竭和網(wǎng)絡(luò)安全已成為目前全球互聯(lián)網(wǎng)中尚待解決的兩個重要問題。其中，NAT技術(shù)是IETF提出的有效解決IPv4面臨的網(wǎng)絡(luò)地址枯竭問題的方案之一，是為提高網(wǎng)絡(luò)地址利用率而采取的一種有效策略；對于網(wǎng)絡(luò)安全問題，防火墻技術(shù)是實現(xiàn)網(wǎng)絡(luò)安全的一個重要手段，是互聯(lián)網(wǎng)時代一種非常有效的網(wǎng)絡(luò)安全模式，通過它可以隔離Internet或不安全網(wǎng)絡(luò)與局域網(wǎng)之間的通信?；谏鲜鰞煞N網(wǎng)絡(luò)技術(shù)，許多國內(nèi)外研究機構(gòu)與設(shè)備廠商都提出了多種硬

2、件解決方案，并設(shè)計出傳統(tǒng)的基于通用處理器(GP-CPU)的純軟件架構(gòu)或基于專用處理器(ASIC)芯片架構(gòu)的網(wǎng)絡(luò)設(shè)備，這樣很難滿足現(xiàn)代通信網(wǎng)絡(luò)對高性能、高可靠性與靈活性的要求。因此，本文采用了一種基于網(wǎng)絡(luò)處理功能強大的IXP2400網(wǎng)絡(luò)處理器來構(gòu)架NAT防護系統(tǒng)。網(wǎng)絡(luò)處理器是一種高度集成的高速可編程處理器，是新興的下一代網(wǎng)絡(luò)設(shè)備的核心，它吸收綜合了GP-CPU的完全可編程特性和ASIC的高速處理能力的優(yōu)點，有效的兼顧了網(wǎng)絡(luò)設(shè)備的功能靈活性

3、和性能強大性，而且其成本低、開發(fā)周期短，對本課題的研究開發(fā)具有重要的科研價值與實際意義。 針對傳統(tǒng)的基于GP-CPU或ASIC的NAT處理復(fù)雜、負荷過重及安全可靠性差而造成的性能瓶頸，本文設(shè)計并仿真實現(xiàn)了基于IXP2400所組成的具有安全防火墻功能的NAT防護系統(tǒng)。論文首先分析了網(wǎng)絡(luò)處理器IXP2400的基本組成與硬件結(jié)構(gòu)，概述了兩種網(wǎng)絡(luò)應(yīng)用技術(shù)。并在此基礎(chǔ)上，構(gòu)架了“基于IXP2400的NAT防護系統(tǒng)”的總體方案，研究探討了N

4、AT防護系統(tǒng)的硬軟件架構(gòu)體系，重點分析與設(shè)計了系統(tǒng)的數(shù)據(jù)平面。該數(shù)據(jù)平面運行在IXP2400的微引擎上，負責對網(wǎng)絡(luò)數(shù)據(jù)包執(zhí)行高速包過濾與地址轉(zhuǎn)換轉(zhuǎn)發(fā)處理，是整個NAT防護系統(tǒng)功能實現(xiàn)的關(guān)鍵所在。然后針對數(shù)據(jù)平面進行功能分解，得到Packet RX、Ether Dccap&Classification、Fire,vail&Stream Filtering、NAT&Ether_Encap、QM、Scheduler、Packet TX等微模塊